WordPress脆弱性18件、LatePointの決済悪用に注意【7月2日～7月8日】

こんにちは。GMOプライム・ストラテジーの相馬理紗です。

今回は、2026年7月2日～7月8日に報告があったWordPressの脆弱性のうち、WordPressのプラグイン・テーマの脆弱性情報を公開しているWordfence が公開しているデータフィードより、以下の条件を満たすものを紹介します。

• WordPress.orgにおける“Active installations"が10万以上である
• 日本語の翻訳に対応している

• 

  WordPress関連で18件の脆弱性が報告された

今回のポイント

• LatePointで認証不要の決済悪用につながる脆弱性
• Optimoleで認証不要の保存型XSS
• LatePointとKirkiでそれぞれ複数の脆弱性
• Ad Inserterで非公開・下書き投稿の内容が漏えいする可能性
• 全18件中7件が未認証で攻撃可能

今すぐ対応すべき脆弱性

• LatePoint：決済トークンの再利用による金銭的悪用
• Optimole：認証不要の保存型XSS
• Kirki：非公開データの漏えい、フィッシングメール送信、SSRF
• Ad Inserter：非公開・下書き投稿を含むコンテンツの漏えい
• Smash Balloon Social Photo Feed：SNS連携用トークンの上書き

今回危険だった攻撃パターン

　決済トークンの再利用による金銭的悪用に注意

今回最も注意したいのは、LatePointの決済機能に関する脆弱性です。

Stripe Connect決済プロセッサが、クライアントから送信されたPaymentIntent IDを十分に検証しないため、認証されていない攻撃者が、過去に成功したPaymentIntentトークンを再利用できる可能性があります。

これにより、攻撃者が任意の金額の支払いを成立させ、決済システムを金銭的に悪用するおそれがあります。

予約や決済に関わるプラグインは、顧客情報だけでなく金銭処理にも直接影響します。LatePointを利用している場合は、修正版への更新を優先するとともに、不審な予約や決済履歴がないか確認することが重要です。

認証不要の保存型XSSにも注意

Optimoleでは、入力値のサニタイズと出力時のエスケープが不十分なことによる保存型XSSの脆弱性が報告されました。

認証されていない攻撃者がページ内に任意のWebスクリプトを挿入し、そのページを閲覧したユーザーの環境でスクリプトを実行させる可能性があります。

保存型XSSが悪用されると、管理画面を閲覧した管理者の操作を乗っ取られたり、ユーザーを不正なサイトへ誘導されたりするおそれがあります。

最近増えている傾向

認可チェックの不備による問題が目立つ

今回は、ユーザーが対象のデータや機能を操作する権限を持っているかを確認する、認可チェックの不備が複数確認されました。

LatePointでは、認証されていない攻撃者が管理者やエージェント向けに制限されたサービスを予約したり、既知のメールアドレスを使って顧客情報を改ざんしたりできる可能性があります。

Kirkiでは、非公開の下書きを含む投稿データの取得や、登録ユーザーへのHTMLメール送信につながる問題が報告されています。

Site Kit by Googleでも、編集者以上の権限を持つユーザーが、本来許可されていない操作を実行できる可能性があります。

ログインが必要な脆弱性であっても、購読者や寄稿者など比較的低い権限から悪用できる場合があります。不要なユーザーアカウントや投稿権限を放置しないことが重要です。

複数の脆弱性が同じプラグインに集中

今回、LatePointでは深刻度が高い問題を含む3件、Kirkiでは3件の脆弱性が報告されました。

LatePointでは、決済トークンの検証不備に加えて、制限対象サービスの不正予約と顧客情報の改ざんが確認されています。

Kirkiでは、内部サービスへ不正なリクエストを送信できるSSRF、非公開投稿の情報漏えい、フィッシングに悪用される可能性のあるメール送信機能の問題が報告されました。

同じプラグインで複数の脆弱性が報告された場合は、個別の設定変更だけで対処しようとせず、修正版への更新状況を確認する必要があります。

WordPress運用の落とし穴

非公開や下書きの投稿も漏えいする可能性がある

Ad Inserterでは、寄稿者以上の権限を持つユーザーが、他のユーザーが所有する投稿の内容を取得できる可能性があります。

対象には、公開済みの記事だけでなく、非公開、下書き、レビュー待ち、ゴミ箱、パスワード保護された投稿も含まれます。

Kirkiでも、認証されていない攻撃者が、非公開の下書きを含む投稿のメタデータやレンダリング済みHTMLを取得できる可能性があります。

公開前の記事、会員向けコンテンツ、社内確認中の情報などをWordPress内に保存している場合は、公開状態だけで安全だと考えないことが重要です。

外部サービスとの連携設定を確認する

Smash Balloon Social Photo Feedでは、管理者を不正なリンクのクリックなどに誘導することで、InstagramやFacebookのoEmbed認証トークンを上書きされる可能性があります。

Kirkiでは、WordPressサイトを起点として内部サービスなどへリクエストを送信できるSSRFの問題も確認されました。

SNS、メール、決済サービスなどと連携するプラグインでは、WordPressサイトだけでなく、連携先のアカウントや認証トークンにも影響が及ぶ可能性があります。

利用していない外部連携は解除し、連携アカウントの権限や不審な設定変更がないか確認しておきたいところです。

7月2日～7月8日に報告があった主な脆弱性一覧

深刻度が高い脆弱性：2件

プラグイン	対象バージョン	修正バージョン	内容	詳細
LatePoint	～5.4.0	5.4.1	決済システムの不正利用	[①]
Optimole	～4.2.7	4.2.8	保存型XSS	[②]

① 詳細: https://www.wordfence.com/threat-intel/vulnerabilities/id/1b1338c4-36a8-47b0-b3cf-c5dc690f8c1c

② 詳細: https://www.wordfence.com/threat-intel/vulnerabilities/id/3320fe6a-dafc-4640-8d8b-7f62fc6e7753

他の脆弱性：16件

プラグイン	対象バージョン	内容	詳細
LatePoint	～5.6.2	制限サービスの不正予約	[③]
Ad Inserter	～2.8.16	非公開投稿の閲覧	[④]
Ultimate Member	～2.11.4	保存型XSS	[⑤]
HubSpot All-In-One Marketing	～11.3.56	機密情報の漏えい	[⑥]
Kirki	～6.0.11	SSRF	[⑦]
Download Manager	～3.3.61	保存型XSS	[⑧]
Kirki	～6.0.11	非公開データの漏えい	[⑨]
GenerateBlocks	～2.2.1	保存型XSS	[⑩]
Smash Balloon Social Photo Feed	～6.11.1	SNS認証トークンの改ざん	[⑪]
Site Kit by Google	～1.176.0	不正なアクション実行	[⑫]
Kirki	～6.0.11	フィッシングメール送信	[⑬]
Website Builder by SeedProd	～6.20.2	保存型XSS	[⑭]
Enable Media Replace	～4.2.1	保存型XSS	[⑮]
LatePoint	～5.6.1	顧客情報の改ざん	[⑯]
Elementor Website Builder	～4.1.3	機密情報の漏えい	[⑰]
GiveWP	～4.16.1	保存型XSS	[⑱]

③ 詳細: https://www.wordfence.com/threat-intel/vulnerabilities/id/09588c2a-1631-4924-8277-d47f096493c5

④ 詳細: https://www.wordfence.com/threat-intel/vulnerabilities/id/20f0e9ae-786b-4ba8-a6d5-92bf31ebc2c7

⑤ 詳細: https://www.wordfence.com/threat-intel/vulnerabilities/id/229a4e61-571c-44c6-9972-4dfc743afffe

⑥ 詳細: https://www.wordfence.com/threat-intel/vulnerabilities/id/3deffe49-c40e-4231-b9d6-035f6dc5f8b2

⑦ 詳細: https://www.wordfence.com/threat-intel/vulnerabilities/id/6979f943-f348-4750-932f-54f0011cd23c

⑧ 詳細: https://www.wordfence.com/threat-intel/vulnerabilities/id/74cd34be-008c-4ff3-ae3c-417cfd2fee9b

⑨ 詳細: https://www.wordfence.com/threat-intel/vulnerabilities/id/8b5db7fa-2e72-4719-b85e-cc31778c2274

⑩ 詳細: https://www.wordfence.com/threat-intel/vulnerabilities/id/aac15273-0a5d-4107-8249-7fff7f503005

⑪ 詳細: https://www.wordfence.com/threat-intel/vulnerabilities/id/abe6366a-3729-474f-8920-b5ed2eeab906

⑫ 詳細: https://www.wordfence.com/threat-intel/vulnerabilities/id/ad382ec2-55c8-4d6c-b318-db199f812493

⑬ 詳細: https://www.wordfence.com/threat-intel/vulnerabilities/id/af01964f-018d-4d19-8627-8889877db105

⑭ 詳細: https://www.wordfence.com/threat-intel/vulnerabilities/id/ba751f98-f86c-451b-8a12-a2e9e76768e5

⑮ 詳細: https://www.wordfence.com/threat-intel/vulnerabilities/id/c8fe4c70-c196-4f20-b787-bea223726fab

⑯ 詳細: https://www.wordfence.com/threat-intel/vulnerabilities/id/e4dcedcc-2878-47b2-99f0-ecba2cc33b69

⑰ 詳細: https://www.wordfence.com/threat-intel/vulnerabilities/id/eb43a145-2f35-456d-bccb-671f381db1ce

⑱ 詳細: https://www.wordfence.com/threat-intel/vulnerabilities/id/ee18552b-2814-4598-9b7b-7c919d6d644e

総括

7月2日～7月8日に報告があった脆弱性については、決済処理の不備、保存型XSS、情報漏えい、データ改ざん、認可チェックの不備が中心となりました。

特にLatePointでは、認証されていない攻撃者が過去の決済トークンを再利用し、任意の金額の支払いを成立させられる可能性があります。金銭的被害に直結するおそれがあるため、最優先で対応したい脆弱性です。

また、Optimoleでは認証不要の保存型XSSが確認されました。LatePointとKirkiでは複数の脆弱性が報告されており、不正予約、顧客情報の改ざん、非公開データの漏えい、SSRF、不正なメール送信など、影響が多岐にわたります。

該当プラグインを利用している場合は速やかに修正版へ更新するとともに、不審な予約や決済履歴、外部サービスとの連携設定、不要なユーザーアカウントや投稿権限を確認することが重要です。